상식의 세계/아는것이 힘

[심리] 4가지 기질론

2009. 6. 22. 13:34 | Posted by 꿈꾸는코난

B.C 460-365년에 살았던 그리스의 위대한 철학자 히포크라테스는 사람의 체내에서 분비되는 체액애 따라 4가지 기질로 분류하였다.

피색이라 하여 '다혈질'
끈끈한 액체라 하여 '점액질'
담즙 중에서도 누런 색의 담즙이라 하여 '담즙질'
검은 색의 담즙이라 하여 '우울질'

이 기질론이 19세기까지 사람들의 기질을 평가하는 방법으로 많이 사용되어 왔었다. 히포크라테스의 기질론을 전 유럽에 보급하는데 가장 큰 역할을 담당했던 사람은 독일의 철학자 '엠마뉴엘 칸트'이다. 20세기에 들어서면 '프로이드'의 등장으로 이  기질성른 자취를 감추는 듯 싶었으나 현재에 와서는 또 다시 대두되어 쓰이고 있다.

최근에 사람들이 가장  신뢰하는 기질검사 방법으로 DNA 기질검사를 들고 있다. 그러나 사람들의 뇌세포가 5~6조 개인 것을 생각할때 1개의 세포를 분석을 하여 그 세포를 코드로 구분하여 인쇄를 했을 경우 A4용지 3천장의 분량이라 한다. 그러니 잘 맞는다 하는 DNA 기질검사도 그 많은 용량을 감당할 수 있을까 하는 의문점이  생긴다.

기질테스트

 기질테스트

각 열의 네 단어들 가운데 자신에게 가장 잘 맞는 단어 하나 앞에 V표를 한다. 만약 자신에게 꼭 들어맞는 단어가 없으면 가장 근사한 단어에 V표를 하면 된다.


 분석

위에 표시한 대로 아래 표에 해당되는 부분을 다시 표시하고 장단점의 합계를 계산한다.

  장점항목(1~20)


  단점항목(21~40)


  기질파악


 기질분석

나의 기질을 분석해 본 결과

  다혈질 0%
  담즘질 22.5%
  우울질 45%
  점액질 32.5% 

가 나왔다.

이 유형을 아래 첨부문서에 있는 내용대로 보면

❽ 철저한 준비가 필요한 우울담즙질(모세)

완전함을 좋아하기 때문에 항상 준비가 철저, 유능하다.
지휘자, 단체설립자에서 많이 볼 수 있는 유형
약점 - 스스로 만족하지 않고 다른 사람을 즐겁게 해주는 것을 어려워한다.
싫어하는 것과 함께 못 있는다. 왜 하필 저입니까?라고 기도함.
흠잡고 캐묻는 데 선수

❾ 탁월한 전문가 우울점액질(빌립)

사람들과 어울림, 조용하고 외진 곳을 좋아함.(예배시간-구석에 앉음)
존경받는 대학자에 많다.
천재성과 겸손함을 겸비한 전문가 중의 전문가이다.
약점 - 극단적 성격, 쉽게 낙심, 부정적 사고, 복수하려는 경향, 상처를 간직하고 지냄.


기질 분석에 대한 내용을 첨부 문서를 보면 될 것같다. 단 첨부문서에 있는 내용 중에서 기독교에 관련된 내용을 빼고 봐도 무방할 듯 싶다.

'상식의 세계 > 아는것이 힘' 카테고리의 다른 글

[수학] 게임이론  (0) 2009.07.13
[경제] 팔레토의 법칙  (0) 2009.07.02
[경제] 그레셤의 법칙  (0) 2009.06.30
[펌] MB도 나라 망치고 싶지 않겠지만...그의 머릿속에 각인된 건 '삽 한 자루'  (0) 2009.06.18
[심리] 에니어그램  (0) 2009.05.31
컴맹의 컴퓨터 이야기/개발

[펌] 당신의 조직은 개발자를 올바르게 관리하고 있는가?

2009. 6. 20. 20:33 | Posted by 꿈꾸는코난
당신의 조직은 개발자를 올바르게 관리하고 있는가?

류한석(IT 컬럼니스트)   2007/10/09
 
한국의 많은 소프트웨어 업체들이 개발자를 제대로 관리하지 못하고(또는 안하고) 있다. 소프트웨어 개발은 정신에 의한 작업이다. 누가 하는 가에 따라서, 어떤 동기부여를 하는 가에 따라서, 어떤 환경에서 하는 가에 따라서, 어떻게 관리하는 가에 따라서 엄청나게 다른 결과를 만들어낸다.

하지만 관리라는 이름 하에 개발자에게 모욕적인 대우를 하는 경우도 많다. 작업에 지장이 있을 정도의 저사양 개발장비를 제공하고, 좁아터진 공간에, 계속 울리는 전화벨과 시끄러운 대화 소리, 휴식공간이라고는 전혀 없는 조직도 많다. 직원들의 일거수일투족을 감시하고, 심지어는 복장 검사를 하는 경우도 있다.

또한 프로젝트 데드라인을 맞추기 위해 새벽에야 겨우 집에 들어갔음에도 불구하고, 출근시간에 몇 분 늦었다고 해서 지각을 체크하고 전체 직원이 모인 회의에서 실명을 거론하는 회사도 있다. 그런 회사일수록 야근수당이 없고 교통비도 지급하지 않으며 사소한 비용을 아낀다. 한마디로 작은 비용을 절약함으로써, 신뢰 상실이라는 큰 비용을 지불하는 것이다.

그런 회사에서 만들어지는 소프트웨어는 품질이 나쁘다. 불행한 개발자들은 품질이 나쁜 소프트웨어를 만들어 낸다. 어쩌면 잠을 못 자고 피로에 지친 개발자들이 내쉬는 서글픈 한숨이 소프트웨어의 영혼에 스며들어 가는 것은 아닐까? 저주받은 소프트웨어. 마치 호러영화의 한 장면처럼 느껴진다.

회사는 직원들을 사랑하지 않으면서, 직원들에게 애사심을 강요하는 회사를 보고 있자면 실소가 나온다. 물론 회사로서는 직원들에게 사랑을 보여줄 수 없는 가장 큰 이유가, 열악한 비즈니스 환경으로 인한 비용적 압박 때문이라고 얘기할 것이다. 백분 양보하여 그것을 인정한다고 할 지라도, 그렇다면 도대체 왜 부적절한 관리자에게 관리를 맡기고 있는 것일까?

나쁜 관리자가 프로젝트를 망치고 있다!
업계를 보면 관리자의 자격이 전혀 없는 사람이 관리를 맡고 있는 경우가 무척 많다. 나쁜 관리의 비용은 엄청나다. 단지 팀 구성원들의 작업에 지장을 주는 정도가 아니라, 조직의 목표 달성에 해악을 미치며 결국 상당한 대가를 치르게 만들고 프로젝트를 완전히 망치는 경우가 빈번하다.

필자는 단지 관리자를 잘못 배정했기 때문에 수백억 원의 손해를 본 어느 대기업의 프로젝트를 경험한 적이 있다. 팀원들은 모두 유능했고 각자의 마음 속에 일을 잘하고자 하는 열정이 있었지만, 관리자의 무능과 변덕과 학대로 인해 팀원들은 모두 좀비가 되어갔다. 일부는 떠났고 일부는 일을 하지 않았고 일부는 하는 척을 했다. 결국 수년간 프로젝트를 진행했으나 결과는 나오지 않았고 프로젝트는 취소됐다. 몇 가지 추가적인 원인이 없었던 것은 아니지만, 가장 주요한 요인은 ‘나쁜 관리자의 존재’ 그 자체였다.

나쁜 관리자는 팀원들이 무엇을 하고 있는지 알지 못하며(또는 관심이 없으며), 팀원들의 능력을 제대로 파악하지 못한 채로, 원칙 없이 업무를 지시하며, 부적절한 인력을 배치하고, 팀원들과 제대로 대화를 나누지 않으며, 펫프로젝트(pet project, 고위층 또는 자신의 개인적인 관심으로 만들어낸 프로젝트)로 인해 업무 우선순위를 마구 바꾸고, 결과가 나와도 잘했는지 못했는지 제대로 판단하지 못한 채 자신의 기호에 따라 결과를 재단한다. 한마디로 그들은 조직의 목표와 팀원의 성장에는 아무런 관심이 없으며 단지 자신의 안위만 생각하는 사람들이다.

그러한 나쁜 관리자의 존재가 지극히 예외적인 경우라고 생각하는가? 만일 그렇다면 당신은 조직 생활의 경험이 많지 않든가, 아니면 억세게 운이 좋은 경우일 것이다. 그런 나쁜 관리자로 인하여 젊은 시절의 소중한 경험을 빼앗기는 팀원들이 몹시 많다. 나쁜 관리자의 해악은 단지 프로젝트의 실패로 나타나는 것뿐만 아니라, 사람들의 인생에서 그 시기에 필히 겪어야 할 소중한 경험까지 앗아가 버리는 것에 있다. 좋은 관리를 받아보지 못한 사람은 좋은 관리를 할 수가 없다.

좋은 관리자가 되기 위한 지침
그렇다면 좋은 관리란 어떻게 관리하는 것인가? 하단과 같이 몇 가지 지침을 제시할 수 있을 것이다.

첫째, 바라는 결과를 명확히 알려주어야 한다. 어떤 관리자들은 자신이 무엇을 원하는지 자기 스스로도 정확히 모르는 채 작업을 지시하고, 팀원의 작업 결과를 그날그날의 기분에 따라 자신의 기호대로 판단하곤 한다. 그런 관리자는 관리자로서의 자격이 없다.

둘째, 위임을 적절하게 수행해야 한다. 어떤 사람의 그릇은 위임할 수 있는 양의 크기로 정해진다. 즉 어떤 사람이 이루어낼 수 있는 최대 성과치는 그가 팀원들에게 권한을 위임할 수 있는 능력에 의해서 결정된다는 뜻이다. 할 일이 너무나 많지만 일할 시간이 없고 혼자서 모든 일을 처리하려고 하는 관리자는 탈진증후군(burnout syndrome)에 빠지게 된다. 그리고 탈진증후군에 빠진 관리자는 결국 팀을 궤멸시킨다.

셋째, 방법보다는 결과에 초점을 맞추어야 한다. 이 말에 오해가 없기를 바란다. 오로지 결과만 중요시하라는 뜻이 아니라, 결과가 올바르다면 방법은 팀원에게 맡겨두라는 뜻이다. 개발자 출신의 관리자는 자신이 선호하지 않은 방법으로 구현을 했다는 이유로 팀원을 질책하거나 업무를 회수하는 잘못을 저지르는 경우가 많다. 그런 관리자는 좋은 결과도 팀원들의 신뢰도 얻지 못할 것이다. 결과가 옳다면 그 방법은 팀원에게 맡겨두는 포용력을 가져야 한다.

넷째, 피드백을 주고, 코칭을 하고, 경력 개발을 지원해야 한다. 피드백이란 해당 직원의 업무 결과에 대해 어떻게 생각하는지 그 내용을 전달하는 것이다. 코칭은 일종의 도움을 주는 것으로서 선택 가능한 사항들 속에서 실행 계획을 만들도록 도와주는 것이다. 그리고 팀원이 새로운 지식과 경험을 쌓음으로써 성장할 수 있도록 경력 개발을 지원해야 한다. 팀원의 경력 개발에 전혀 신경을 쓰지 않은 관리자들이 너무 많다. 그것은 팀원을 일회용품으로 취급하고 있음을 스스로 증명하는 것과 같다. 경력 개발에 도움을 받은 팀원은 관심을 갖고 도와준 관리자를 언제까지나 기억할 것이다.

다섯째, 좋은 관리자는 자기 자신을 관리하는 사람이다. 좋은 관리자는 감정의 폭발에 반응하기보다는 사건에 대응한다. 불필요한 감정을 발산하여 팀원에게 공포심을 조장해서는 안 된다. 만일 감정이 폭발했거나 또는 잘못된 지시를 했다고 판단될 시에는 즉각 솔직하게 인정하고 사과를 해야 한다. 실수를 인정하는 관리자는 인간적으로 보인다.

좋은 관리 방법을 배우기는 힘들다. 왜냐하면 그것은 눈에 잘 보이지 않기 때문이다. 하지만 우리는 그것을 배우고 실천해야 한다. 그것이야말로 업계에 만연된 악순환의 고리를 끊어버리는 유일한 방법이기 때문이다. 우리가 겪은 불행한 경험을 다시금 후배들에게 전달해서는 안 된다.

비록 기술 중심의 소프트웨어 업체라고 할 지라도, 기술 관리란 기술이 아니라 사람을 다루는 것임을 잊지 말아야 한다. 회사가 가능한 범위 내에서 최상의 업무 환경을 제공하고, 개발자 개개인을 세심히 배려하는 피드백, 코칭, 경력 개발을 지원하는 관리자가 있는 조직이라면 개발자는 결코 불행하지 않을 것이며 더 나아가 어려운 일도 기꺼이 극복해 낼 것이다.

하지만 지금 이 순간에도 많은 기업들이 사소한 비용 절감과 무의미한 규칙 준수를 위해 직원들의 신뢰를 잃고 있으며, 나쁜 관리자를 배정함으로써 프로젝트와 팀원의 인생을 망치고 있다. 나쁜 관리자는 개인, 회사, 사회 모두에 악영향을 미치는 존재이다.

반면에 좋은 관리자는 탁월한 결과를 만들어내고 팀원들을 성장시키고 사회 전반에 좋은 인재를 공급한다. 그런 훌륭한 관리자가 어디 흔하냐고 항변하는 기업의 목소리가 들린다. 하지만 기업들이여, 그런 변명보다는 좋은 관리자를 채용하려는 노력, 그리고 양성하려는 노력, 그리고 그가 ‘진짜 관리’를 제대로 수행하였는지 평가하려는 노력을 무엇보다 먼저 기울여야 하지 않을까?

'컴맹의 컴퓨터 이야기 > 개발' 카테고리의 다른 글

[프로젝트] 프로젝트 이야기 05  (0) 2009.06.25
[프로젝트] 프로젝트 이야기 04  (0) 2009.06.25
[프로젝트] 프로젝트 이야기 03  (0) 2009.06.25
[프로젝트] 프로젝트 이야기 02  (0) 2009.06.25
[프로젝트] 프로젝트 이야기 01  (0) 2009.06.25
상식의 세계/아는것이 힘

[펌] MB도 나라 망치고 싶지 않겠지만...그의 머릿속에 각인된 건 '삽 한 자루'

2009. 6. 18. 14:24 | Posted by 꿈꾸는코난

http://www.ohmynews.com/NWS_Web/view/at_pg.aspx?CNTN_CD=A0001159017

여당 지지율은 야당에 추월당했고, 대통령 지지율도 20%대로 떨어졌다. 노무현 서거에 따른 일시적 현상으로 보고 싶을 게다. 그럴 수도 있다. 하지만 여론에는 양적 측면과 질적 측면이 있다. 여론조사는 이 중 양적 측면만 반영할 뿐이다. 노무현 효과가 사라지면, 물론 정부여당의 지지율은 다소 오를 것이나, 그것으로 악화된 여론의 질까지 회복될 것 같지는 않다.

예를 들어 지난번 보궐선거에서 한나라당은 여론조사에서 10%P를 앞서고도 정작 선거에서는 외려 10%P의 차이로 패배했다. 우호세력의 지지는 소극적이나, 혐오세력의 반대는 적극적이었기 때문이다. 이런 게 여론의 질적 측면이다.

500만이 전직 대통령의 빈소를 찾은 것은 그저 노무현이라는 한 개인만을 추도하기 위해서가 아니었을 것이다. 국민들은 그의 죽음에서 동시에 우리 사회가 지난 10년간 이룩해온 민주주의의 죽음을 보았던 것이다. 서울대에서 시작된 시국선언은 나라 안팎으로 퍼져나간다. 전국의 교수들, 북미 대학 교수들, 각 대학 총학생회, 문화계와 법조계를 거쳐, 이제는 불교, 천주교, 개신교의 3대 종단까지 나섰다. 영화인들의 시국선언도 있었다. 지금 국민들은 표 하나 잘못 던진 것이 얼마나 섬뜩한 현실을 낳는지 학습하는 중이다. 국민은 부글부글 끓고 있다.

사회는 거대한 커뮤니케이션 시스템이다. 커뮤니케이션에는 일반적으로 '피드백' 기제가 있다. 사회에 문제가 생기면 위험신호를 되먹여 시스템을 교정하게 된다. 이 피드백이 작동하지 않는 시스템을 '먹통'이라 부른다. MB 정권이 먹통의 대표적 예다. 한 번 단추를 잘못 채우면 줄줄이 잘못 채우게 되듯이, 먹통에 걸린 국가는 계속 잘못된 길을 걸을 수밖에 없다. 국민은 MB 정권에 '대화와 소통'을 요구한다. 하지만 불행히도 MB 정권엔 그 능력이 없다. 21세기 네트워크 시대에 이런 불량 커뮤니케이션 시스템이 장착된 것 자체가 애초에 오류였다. 


그 머릿속의 삽 한 자루

MB의 선의를 의심하지 않는다. 그라고 나라를 망치고 싶겠는가? 문제는 그의 두뇌 연령이다. 그는 고도의 IT 인프라를 갖춘 정보화 사회를 강제로 산업사회 초기로 되돌리려 한다. 그는 이른바 '성공한 CEO', 그 경력으로 당선된 자칭 '경제 대통령'이다. 문제는 그의 머릿속의 경제관념이 1970~80년대 공사현장에서 형성된 것이라는 데에 있다. 그가 정치에 입문한 후 한국사회는 산업사회에서 정보사회로 변신을 끝냈다. 한국경제도 그가 공사판을 뛰어다닐 때와는 아예 차원이 달라졌다. 하지만 이 모든 변화의 물결 속에서도 여전히 변하지 않은 골동품이 MB의 토목 마인드다.

후발 자본주의 국가의 경우, 산업화 초기에는 이른바 '엘리트들'이 역할을 한다. 멀찌감치 앞서나가는 선진공업국의 현재, 하지만 국민 대다수가 농민인 제 나라의 현실. 이 격차는 신속히 메워져야 한다. 그러려면 자연의 리듬에 맞춰 일하던 농민의 신체를 강제로 기계 속도에 적응한 노동자 신체로 뜯어고쳐야 한다. 이로써 온 국민을 위한 명령, 규율, 훈육 시스템이 도입된다. 산업화 초기의 독재는 정당성은 없어도, 최소한 적합성은 갖고 있다. 박정희 독재가 그나마 유지됐던 것은 그 때문일 게다. 그런데 우리의 '재판(再版)  박정희'는 아직도 국민이 그 시절에 산다고 믿는 모양이다.

박정희의 경부고속도로를 모범으로 삼아 그는 국민 앞에 '경부대운하'라는 거대한 삽질 프로젝트를 내놨다. 다들 황당해 하자, '4대강 사업'이라 제목을 바꿔 달았다. 사업은 달라져도 예산은 동일하다. 14조. 무슨 일이 있어도 14조어치 삽질은 기어코 하고야 말겠다는 거다. '4대강'으로 이름을 바꿔달자 저항이 약해졌다. 그러자 갑자기 예산이 눈덩이처럼 불어난다. 그리하여 무려 22조. 앞으로 더 늘어날 거라 한다. '환경파괴' 걱정하니, 삽자루에 녹색 '뼁끼'를 칠하겠단다. 멀쩡한 강변 파헤쳐 '공구리'치고, 그 위로 아스팔트 발라 자전거 도로 건설하겠단다. 이게 그의 녹색 마인드다.

개발도상국의 경우 토목사업이 정말로 경제발전의 토대가 된다. 가령 중국이라면, 도로 깔고, 철도 깔고, 운하 파는 게 실제로 장기적인 경제적 효과로 되돌아온다. 하지만 한국의 경제는 이미 그 수준을 넘어섰다. 4대강 파헤치고, 자전거 도로 깐다고 무슨 경제 효과가 생길까? 삽질할 때에 일시적으로 생겼다가 사라지는 일용 노동직 외에 아무 효과도 없다. 혹시 부산에서 서울까지 자전거로 물류를 나르겠다는 건가? 이 정도면 '정책'이 아니라 '주책'인데, 문제는 도대체 이 주책을 막을 길이 없다는 것이다. 얼마나 답답했던지, 한나라당의 이한구 의원이 보다 못해 한마디 한다.

"지금 재정이 엉망이고 전부 국가 부채로 하는 일인데, 미래 산업을 키우고 지속가능한 고용창출을 하는 데 투입해도 모자라는 판에 토목사업을 자꾸 확대하는 쪽으로 가는 것이 굉장히 신경 쓰인다." (평화방송 <열린 세상, 오늘! 이석우입니다> 2009/06/11)

"현 세기에는 있을 수 없는" 정권

4대강 산업은 1970년대식 토목공사로 일시적 건설인력만 창출한다는 점에서 "미래 산업을 키우고 지속가능한 고용창출"과는 전혀 거리가 멀다. MB의 이 가공할 시대착오는 <조선일보>마저 우려할 정도다. 4대강 사업을 "꼭 해야 할 사업"이라 부르면서도 <조선일보>는 과연 그게 얼마나 절박한 과제인지 의문을 표명한다.

"과연 지금 22조 원이나 되는 국민 세금을 쏟아 부을 만큼 4대강 살리기가 절박한 것인지에 대해선 논란이 많다. 더욱이 문제는 작년 말 14조 원이던 사업비가 6개월 만에 22조 원으로 늘어났다는 점이다. 이런 식이라면 앞으로 사업이 추진되면서 비용이 더 늘어나지 않을 것이라는 보장이 없다. … 환경영향평가는 계절별 영향을 보기 때문에 보통 1년은 한다. 4개월 영향평가로 충분한 환경대책이 마련될지도 걱정이다. … 불과 몇 달 사이 사업계획의 큰 틀이 이리저리 바뀌고 사업비가 수조 원씩 들쭉날쭉하는 4대강 살리기 사업은 어쩐지 아슬아슬하다." ('14조 원서 22조 원 된 4대강' <조선일보> 2009/06/08)

게다가 22조를 넘어 총액수가 얼마나 될지 헤아릴 수도 없는 초거대형 프로젝트의 계획이 몇 달 만에 뚝딱 만들어졌다. 이 초고속 날림공사 역시 1970년대 한국 토목공사의 전형적인 악습이다. MB는 4대강이 녹색 사업이라 말한다. 하지만 전문가들의 견해는 다르다.

"얼마 전, 해외의 하천 전문가들이 참석한 4대강 관련 국제 세미나에 참석한 적이 있다. 영국·독일·미국·일본 등 4개국에서 온 대학교수와 정책관료, 연구원들이 그들 나라의 하천 복원 경험담을 들려준 뒤 4대강 사업에 대한 의견을 제시하는 자리였다. 강 본류에 '보'라는 콘크리트 댐들을 줄줄이 쌓고 강바닥을 수심이 평균 6m 이상 되도록 준설한다는 4대강 사업의 내용이 소개되자, 이들은 모두 "이해가 되지 않는다"고 했다. 강 생태계가 완전히 파괴되고 수질은 필연적으로 악화될 수밖에 없어 "현 세기에는 있을 수 없는 환경파괴 사업"이라고 입을 모았다." (이원영 수원대 교수 '대통령의 4대강 착각' <조선일보> 2009/06/11)

해외의 하천 전문가들은 모두 입을 모아 이 사업이 "이해가 되지 않는다"고 말한다. "이해가 되지 않는" 사업에 22조 이상을 들이는 부조리극이 MB 정권이 추진하는 가장 큰 경제정책이다. "현 세기에는 있을 수 없는…"이라는 표현이 인상적이다. 그것은 동시에 MB 정권 전체를 특징짓는 말이다. MB 정권, 그것은 "현 세기에는 있을 수 없는" 정권이다.  

하지만 MB의 선의를 의심하지 말라. 그는 정말로 한국경제를 살리고 싶어 한다. 그리고 그 대가로 성공한 대통령이라는 평가를 듣고 싶어 한다. 문제는 그의 머릿속에 도대체 든 게 없다는 것이다. 그는 자기가 아는 처방대로, 자기가 잘하는 방식대로 경제를 살리려 한다. '대규모 토목공사를 벌이면, 먼저 건설업이 살고, 고용이 창출되고, 그 연관효과로 지역경제가 살아난다.' 이게 그가 경제에 대해 가진 유일한 관념이다. 국민의 혈세 수십 조를 풀어 경기가 풀리면, 이제 그는 자신이 경제를 살렸다고 말할 것이다. 게다가 소프트웨어 같은 무형의 가치와 달리, 토목공사의 결과는 청계천처럼 '사진발'도 잘 받는다.

MB의 근시안은 도대체 경기 살리기와 경제 살리기를 구별하지 못한다. 22조의 막대한 재원은 물론 하늘에서 그냥 떨어진 게 아니다. 앞으로 경제에 뛰어들 다음 세대의 어깨 위에 언젠가 갚아야 할 빚으로 고스란히 남게 된다. 그렇게 막대한 재정을 투입해서 고작 강바닥 헤집어 환경이나 파괴하고, 공사 끝나면 거품처럼 사라질 건설일용직이나 창출하는 게 과연 합리적인 선택일까? 이성을 가진 사람이라면, 아무도 그렇다고 대답하지 않을 것이다. 그럼에도 현재의 제왕적 대통령제 아래서는 도대체 그의 독단을, 이 주책을 막을 길이 없다.

디지털 시대의 개도국 구호

이미 한국사회는 산업사회를 넘어 산업이후사회(post-industrial society), 즉 정보사회로 진화했다. 한국경제 역시 산업혁명을 넘어 과학기술혁명의 단계로 접어든 지 오래다. 김대중, 노무현 정권에 대해서는 나 역시 누구 못지않게 비판적이나, 적어도 이 두 정권은 MB처럼 시대착오적이지는 않았던 것으로 기억한다. 김대중 정권은 '지식기반사회'를 얘기했고, 노무현 정권은 'IT와 인터넷'을 좋아했다. 적어도 이 두 정권은 '미래의 경제에서는 상품이 물질이 아니라 정보(지식)의 형태를 취할 것이며, 공작기계보다는 컴퓨터가 생산의 도구로 사용될 것'이라는 인식 정도는 갖고 있었다.

MB는 어떤가? 정권을 잡자마자 '과학기술부'부터 없앴다. 생산이 주로 과학기술혁명의 형태로 이루어지는 시대에 내린 이 용감한 결단. IT에 대해서는 또 뭐라 했던가? 생산이 비(非)물질화되어가는 시대에 이르기를, 'IT는 고용을 창출하지 못한다.' 대체 그가 생각하는 고용은 뭘까? 대답은 '젊은이들은 사무실에서 에어컨 바람 쐴 생각 말고 땡볕에 나가 일하라'는 그의 말 속에 들어 있다. 한마디로, '정보화 사회의 젊은이들이여, 컴퓨터 앞을 떠나 땡볕 아래 열심히 삽질하라'는 얘기다. 그러다 경제위기 속에 IT가 효자노릇 한다고 하자, 부랴부랴 청와대에 'IT 특보'를 만들란다.

'닌텐도'가 돈 된다는 얘기를 들었나 보다. "우리도 이런 거 못 만드나?" MB의 발언은 수많은 누리꾼들의 비웃음을 사며 패러디의 소재가 됐다. 그리하여 나온 것이 '명텐도'. 용량은 2MB, 괄호 치고 확장불가란다. 게임기의 물리적 몸체야 만들기야 뭐 어렵겠는가? 그보다 중요한 것은 닌텐도 'wii'가 나오기까지 행해진 미디어예술의 수많은 인터페이스 실험, '닌텐도 체어'나 '닌텐도 글러브'와 같은 선행주자들의 실패 및 그 원인에 대한 분석, 게임기에 제공되어야 할 다양한 콘텐츠와 소프트웨어 등등. 생산의 비(非)물질화라는 현실 앞에서 의심 많은 도마는 눈에 뵈지 않는 것의 가치를 믿지 못한다.

직접 프로그래밍을 했던 노무현은 전자정부를 실현했으나, MB 각하는 청와대에 입성하여 보름 동안 컴퓨터를 못 썼다. 이를 비꼬아 "각하, 혹시 전원은 올리셨는지요?"라고 농담을 했더니, 나중에 알고 보니 그게 농담이 아니었다. 비번을 몰랐다나, 아니면 잘못됐다나? 이 해프닝은 그 후에 벌어질 모든 일을 압축적으로 예시한 상징적 사건이었다. 그들은 "잃어버린 10년"을 말한다. 그 말은 역설적이게도 사실이 되었다. 지난 10년 간 이 사회가 이룩한 지식기반사회와 디지털전자정부의 기틀은 단 1년 반 사이에 무너져 내리고, 대한민국은 졸지에 중국의 뒤를 좇아가는 개발도상국과 비슷해졌다.

'7%' 운운할 때부터 예견됐다. 중국도 양적 성장에서 질적 성장으로 전환하겠다고 선언한 마당에, IT 강국의 대통령이 개발도상국 구호('고도성장')로 당선됐다. 표 한 번 잘못 던진 대가로 이제 우리는 22조의 어마어마한 혈세를 들여 대규모 삽질을 해야 한다. 다음 달부터 벌써 보상금이 나간단다. 디지털 시대에 22조가 넘은 혈세를 강바닥 헤집어 환경파괴하는 데에 써야 할까? 미래의 비전에 기초해 '경제를 살리는 것'과, 과거의 경험에 기초해 토목으로 '경기 살리는 것'은 전혀 다른 일이다. 하지만 한국사회는 용량 2MB짜리 빈곤한 상상력의 감옥에 갇혀 미래의 비전을 완전히 상실해 버렸다.
  

권위주의 통치로 퇴행

불행은 거기서 그치지 않는다. 경제관념은 정치관념을 규정하기 마련. 박정희 시절 학교에서 우리는 '3권분립이 민주주의의 핵심'이라는 몽테스키외의 이론을 배우다 말고, '그래도 행정부가 제일 중요하다'는 수정이론을 배웠다. 우리의 재판 박정희도 저 혼자 나라를 좌지우지하려 한다. 혹자는 그것을 '독재'라 부르고, 혹자는 그것을 '독선'이라 부른다. 물론 박정희와 이명박 사이에 한 가지 차이는 있다. 박정희가 사회에 군대식 위계를 심었다면,  MB는 무차별적으로 사회에 기업식 위계를 도입한다는 점. '대통령=장군, 국민=졸병'이던 시대는 '대통령=사장, 국민=사원'인 시대로 부활했다.

독주의 또 다른 원인은, 그가 기업인 출신이라는 점과 관련이 있다. MB는 자신을 '여의도 정치인'이 아니라 '현대건설 CEO'로 연출하여 대통령이 됐다. 정치에 염증을 느낀 국민은 이 정치인 아닌 정치인에게 몰표를 던졌다. 하지만 기업과 국가는 애초에 성격이 다르다. 회장은 사원이 뽑는 게 아니고, 회사에 의회가 있는 것도 아니다. 기업인 MB는 정치를 모른다. 그건 자기도 인정한다. 7대 종단의 대표를 만난 자리에서 말하기를, "저는 정치에는 소질이 없고 잘 모른다." ('MB는 뒤돌아보지 않는다' <한겨레21> 06/12) 한나라당 싱크탱크 '여의도연구소'의 소장을 지냈던 윤여준 전 장관의 증언이다.

"이명박 대통령의 후보 시절, 정당 정치의 기본적인 역할에 대한 인식을 하고 있는 것 같지 않았다. '정치를 혐오한다'는 말만 자꾸 했는데 결국 '나는 여의도 정치가 싫다'는 것 … 대통령이 된 후에는 정당 정치에 관심 갖지 않는다는 것을 느꼈다." ('윤여준, MB 정치 혐오해' 프레시안 2009/06/12)

아마 그의 눈에 정치인은 기업인에게 돈이나 '삥 뜯는' 기생충으로 보일 게다. 그러니 정치를 혐오하는 것도 이해 못할 일은 아니다. 하지만 대통령도 정치인이다. 그리고 기업활동과 정치활동은 애초에 성격이 다르다. 기업을 운영하는 것은 하나의 이해집단을 끌어가는 문제지만, 정치를 한다는 것은 상이한 이해집단들 사이의 갈등을 조정하고 타협을 이끌어내는 문제이기 때문이다. 하지만 기업이 세상의 전부라 생각하는 사람의 눈에는 이런 복잡한 조정과 타협의 프로세스가 그저 순수한 시간 낭비, 비생산과 비효율의 상징으로 보일 것이다.

기업 최고경영자 출신 대통령에게 만나기만 하면 치고받는 정치는 비생산적이고 비효율적인, 그래서 가까이 할 필요가 없는 남의 나라처럼 보였을 것이다. 그러다보니 청와대와 여당이 가까이 하기에는 너무나 멀고 먼 당신이 돼 버렸다. ('준비 안 된 권력이동' <한국경제> 2009/06/14)

국회는 명색이 민의의 전당, 즉 국민의 뜻을 대의하는 곳이나, 대한민국을 주식회사로 착각하는 대통령은 국회가 왜 필요한지 이해하지 못한다. 그에게 입법부의 이상적 상태는 역시 '닥치고 통법부'가 되는 것이다. 그리하여 만사'형'통(萬事兄通)이라던가? 이상득을 통해 여당을 친위대로 만들어 놓고, 그들의 수적 우위로 야당을 무력화시킨다. 이로써 의회정치는 무력화된다. 주식회사 MB에 의사당은 있어도 의회는 없다. 국민은 그를 대통령으로 세웠으나, 일단 뽑힌 그를 다시 견제할 방법은 없다. 입이 막힌 시민은 뒤늦게 분노해 광장으로 향하나, 그곳은 이미 경찰버스로 막혀 있다.

법치로 법치를 무너뜨리다

언뜻 보면 MB정권만큼 법을 존중(?)하는 정부는 없었던 것 같다. 사방에서 들리는 소리가 그놈의 '법치, 법치, 법치.' 누가 MB 정권 아니랄까봐, 우리가 법을 지켜야만 하는 이유도 매우 독특하다. 국민이 법을 지키면 GDP가 0.9%가 성장한다나? 그렇다면 '떼법' 청산하겠다며 법을 전가의 보도처럼 휘둘러 온 지난 1년 동안 대한민국의 법치주의는 얼마나 발전했을까? 법조인들의 말을 들어 보자. 얼마 전 <법률신문>에는 법률 전문가들을 상대로 한 설문조사 결과가 실렸다. 거기에 따르면 이렇다.

"변호사와 법학교수 등 법률가 10명 중 6명은 이명박 정부 출범 이후 법치주의가 이전보다 후퇴했다고 생각하고 있는 것으로 나타났다. 어느 정도 발전했다는 견해는 1명꼴에 불과했으며, 나머지는 참여정부와 별반 차이가 없다고 평가했다. 이는 이명박 정부가 법치주의 확립을 국정지표로 삼고 있음에도 정권 출범 직후부터 계속된 촛불집회를 둘러싼 논란과 미네르바 사건, 신영철 대법관 재판 관여 의혹사건 등이 부정적인 요소로 작용한 결과로 풀이된다." ('새 정부 출범 후 법치주의 후퇴' 법률신문 2009/04/28)

법률가들은 법치주의 위기의 가장 큰 원인으로 "정·재계 인사 등 사회지도층의 반(反)법치주의적 행태"를 꼽았다. 정부의 이른바 '떼법' 청산 캠페인("법질서 바로세우기 운동")에 법률가들은 5점 만점에 1.84점을 매겼다. 나아가 '새 정부 집권 5년 동안 법치주의가 어느 정도 발전할 것으로 기대하십니까'라는 질문에는, 응답자의 45.6%가 퇴보할 것, 34.8%가 별로 기대하지 않는다고 답해, 10명 중 8명이 어두운 전망을 내놓았다. 난무하는 법 속에서 정작 법치주의는 후퇴했다는 이 역설. 법치주의 확립을 국정지표로 내세운 정권에서 법치주의 앞날이 암담하다는 이 역설. 이를 어떻게 이해해야 할까?

그것은 법의 여신 유스티치아(justice)가 그동안 손에 든 저울(=공정함)은 내팽개치고, 덩덩 덩더쿵, 시퍼런 칼을 휘둘러 애먼 사람들을 잡는 선무당이 되어버렸다는 얘기다. 더 구체적으로 말하면, 그동안 검찰과 사법부가 정치적 중립성을 잃어버리고, 정권유지의 수단으로 악용되어 왔다는 얘기다. 

"응답자들은 '사법권 독립이 강화됐다고 보십니까'라는 질문에 40.7%가 많이 약화됐다, 17.4%가 약간 약화됐다고 답했다. 10명 중 6명가량이 이전 정부에 비해 사법권 독립이 후퇴했다고 평가한 것이다. … 또 '검찰의 정치적 중립성이 향상됐다고 보십니까'라는 질문에도 응답자의 53.0%가 많이 후퇴했다고 답했고, 13.3%가 약간 후퇴했다고 답해 전체의 66.3%가 부정적인 견해를 보였다." ('법의 날 기념 설문조사 분석' <법률신문> 2009/04/28)

그동안 일어날 일을 복기해 보자. 사법부에서는 대법관이 재판에 관여하여 판사들의 집단반발이 일어났다. 그로 인해 신영철 대법관은 사퇴 요구를 받았다. 검찰은 어떤가? 정치적 보복수사로 전직 대통령을 비극적인 자살로 몰아갔다. 그 사건으로 임채진 검찰총장이 옷을 벗었다. 그에 앞서 경찰의 무리수가 있었다. 경찰은 상식을 넘어선 무리한 진압으로 용산 철거민 다섯 명을 화염으로 몰아넣었다. 이 사건으로 김석기 경찰총장이 물러났다. 단 몇 달 사이에 경찰, 검찰, 사법부에 골고루 유고가 생겼다. 이 세 사건은 물론 하나의 동일한 원인을 갖는다.

MB 정권이 말하는 '법치'는, 법에 대한 '자의적' 해석과 적용으로 애먼 시민을 범법자 만드는 능력을 과시하는 데에 있다. 법은 난무해도 법치가 후퇴한 것은 이 때문이다. 법을 자의적으로 해석하고 적용하는 것은, 사실상 법을 새로 만드는 것이나 다름없다. 없던 법이 새로 생기다 보니, 시민은 경찰이나 검찰의 연락을 받고서야 비로소 자신이 범법을 했는지를 알게 된다. 경찰과 검찰이 행사하는 이 사실상의 입법권이 시민을 불안하게 만들고 있다. 이 종잡을 수 없는 자의성 앞에서 시민은 법을 '방패'가 아니라, '흉기'로 느끼게 된다. 국민들은 MB 정권에 극심한 정신적 스트레스를 받고 있다.

복수의 칼, 감사와 세무조사   

유고가 생긴 곳이 또 있다. 바로 국세청이다. 연임을 앞두고 재계 600위권의 회사를 몇 달 동안 털어 MB에게 직보했다는 한상렬 국세청장은 수사가 시작되자 미국으로 도피했다. 덕분에 국세청장의 자리가 6개월 동안 비어 있는 웃지 못 할 사태가 벌어졌다. 노무현 전 대통령이 즐겨 찾던 삼계탕집이 세무조사에 걸려 10억 원을 추징당했단다. 국세청이 시민사회를 타깃으로 삼는다면, 공공기관의 장악에는 감사가 제격이다. 특히 문화계에서 이른 좌파인사들을 적출하는 데에는 감사가 요긴하게 사용되었다. 최근 사회를 시끄럽게 한 한예종 사태는 그것의 완성판이라 할 수 있다.

보도에 따르면, 실제로 MB 정권 출범 이후 "수사기관의 계좌 추적 등 금융정보 요구 건수가 참여정부 때보다 3배가량 늘어난 것으로 드러났다"고 한다. 

"민주당 정치보복진상규명특위(위원장 박주선)가 12일 금융감독원으로부터 받은 자료를 보면, 2008년 수사기관이 요구한 금융거래 정보는 8만683건으로, 참여정부 5년 동안의 연평균인 3만340건보다 2.7배 높았다. 올해는 1~3월 석 달 동안에만 6만4721건에 이르렀다. 이는 2003~2007년 동안의 석 달 평균치인 7585건에 견줘 무려 8.5배 이상 많은 수치다. 감사원의 자료 요구 건수도 부쩍 늘었다. 참여정부의 연평균치가 50건이었던 데 비해 2008년엔 358건으로 7배 이상 늘었다. 국세청의 경우엔 참여정부 평균 1만4903건에서 2008년엔 2만9261건으로 갑절 증가했으며, 올해 석 달치는 1만8888건으로 참여정부 시절 3726건보다 5배나 높다." (<한겨레신문> 2009/06/12)

MB 정권 하에서 감사가 어떤 기능을 하고 있을까? 역설적으로, 이는 MB정권의 수렵견들이 누구보다 더 정확히 이해하고 있다. 그들은 자신들의 의도를 애써 감추지 않고 아주 노골적으로 드러낸다.  

"1차로 문화체육관광부의 감사가 종료되었기 때문에, 시민을 위한 변호사들 측과 상의를 하여, 우선적으로 감사원에 공익감사청구를 하고, 감사원이 직접 황지우, 진중권 등을 고발하도록 요청할 것이다."  (빅뉴스 2009/05/21) / "고로 문화미래포럼과 별도로 인미협 차원에서 감사원에 공익감사청구를 하여 대대적인 감사를 하도록 할 것이다." (빅뉴스 2009/05/25) / 인미협은 일단 문화체육관광부의 부실한 감사결과는 제쳐놓고, 감사원에 공익감사청구를 하여, 거기서 비리가 확인되면 그때 검찰 고발할 것이다. (빅뉴스 2009/06/10)

강박적으로 반복하는 이 프로세스에 따르면, 감사 뒤에는 검찰의 수사가 따르게 되어 있다. 법이 난무해도 법치주의가 후퇴하는 이유를 여기서 볼 수 있다.

21세기 디지털시대를 토목 마인드로 이끌어가려는 우리의 재판 박정희에게, 입법부의 이상적 상태는 '거수기'가 되는 것이고, 사법부의 이상적 상태는 '선무당'이 되는 것이다. 국민의 지지를 받지 못하는 권력은 당연히 3공과 5공 시절처럼 자신을 지탱해줄 유일한 보루로서 경찰과 검찰의 칼에 의존하게 된다. 물적 토대('경제')에 대한 퇴행적 관념은 이렇게 법적, 정치적 상부구조(입법과 사법)에 대한 퇴행적 관념으로 이어진다. 대한민국이라는 사회구성체는 MB 정권 1년 반 만에 총체적인 퇴행성 발달장애에 걸렸다.

'상식의 세계 > 아는것이 힘' 카테고리의 다른 글

[수학] 게임이론  (0) 2009.07.13
[경제] 팔레토의 법칙  (0) 2009.07.02
[경제] 그레셤의 법칙  (0) 2009.06.30
[심리] 4가지 기질론  (0) 2009.06.22
[심리] 에니어그램  (0) 2009.05.31
꿈꾸는 책들의 도시

[경영] 이기는 습관 1 - 동사형 조직으로 거듭나라

2009. 6. 18. 12:36 | Posted by 꿈꾸는코난
이기는 습관
카테고리 경제/경영
지은이 전옥표 (쌤앤파커스, 2007년)
상세보기

이기는 습관... 1등도 해본 사람이 하고, 이기는 것도 이겨본 사람이 이긴다.

남들보다 더 앞서고 다른 조직이나 회사보다 너 많은 성과와 능율을 발휘하는 조직과 회사를 만들기 위해서는 어떻게 해야하는 가를 잘 설명해주고 있다.
부제에서 알 수 있듯이 동사형 조직같이 실행력과 능동적인 조직문화를 통해 보다 앞서가는 조직과 회사를 만들 수 있음을 보여준다. 물론 이는 조직 뿐만 아니라 개개인이 탁월한 능력을 발휘하고 그만큼의 대우를 받을 수 있는 상태에서 나타나는 것이다.

흔히 "프로정신"이라는 말을 많이 사용한다. 한편으로는 개개인이 좀더 자신의 역량을 강화하고, 경쟁력을 높이는 용도로도 사용할 수 있지만 다른 관점에서 보면 좀 더 회사에 충실하도록 하기 위해서 사용하는 용도로도 사용할 수 있다.

장단점이 있겠지만 개인과 회사 또는 조직인 win-win 할 수 있다면 각자 프로정신을 가지고 맡은 책임을 다하게 된다면 가장 바람직하지 않을까? 각자 맡은 일이 마음에 들지 않을 수도 있고 너무 어려울 수도 있지만 그보다 나은 뭔가를 할 수 있는 상태가 아니라면 현재 주어진 일에 충실하게 하는 것이 그냥 시간을 보내는 것보다는 자신에게 도움이 되지 않을까 싶다.

목차를 보면 저자가 하고자 하는 이기는 습관을 대략적으로 나마 볼 수 있다.

우리 조직에서 필요하다고 보는 습관은 다음과 같다.

1. 시간이라는 무질서한 흐름에 조직을 놓아 기르지 마라.
2. 프로세스를 정착시켜 조직의 역량을 상향 평준화하라.
3. 바탕없는 재기 발랄함은 수명이 짧다. 성실함을 견지하라.

나 자신도 시간이 없다는 핑계로 소홀히 하는 부분이 많은 것 같다.
사실 많은 것을 생각하고 정리하기에는 턱없이 시간이 부족한 것도  사실이다.
그렇다고 마냥 시간만 흘러가게 내버려둘 수도 없지 않은가?

지금부터라도 목표에 접근하기 위한 action item을 나누고 하나씩 정복해 나가기로 하자!

- 목차 -


프롤로그 : 싸움의 룰까지도 바꾸어놓는 ‘승자의 법칙’

1부. 총알처럼 움직인다, 동사형(動詞形) 조직
이기는 습관 01 - 고객을 향해 움직이는 ‘동사형 조직’으로 변신하라
이기는 습관 02 - 이기는 조직은 열정의 온도가 다르다, 일을 축제로 만들어라
이기는 습관 03 - 시간이라는 무질서한 흐름에 조직을 놓아기르지 말라
이기는 습관 04 - 고통이 따르는 창조적 혁신에 기꺼이 사활을 걸어라

2부. 창조적 고통을 즐긴다, 프로 사관학교
이기는 습관 05 - 인생도 비즈니스도 셀프 마케팅이다
이기는 습관 06 - 세상에 없는 오직 하나, 제안서 한 장도 차별화하라
이기는 습관 07 - 당신이 공부할 학교는 바로 지금 ‘이곳’이다
이기는 습관 08 - 조직이 직원에게 해줄 수 있는 최상의 복지는 지독한 훈련이다

3부. 쪼개고 분석하고 구조화한다, 지독한 프로세스
이기는 습관 09 - 프로세스를 정착시켜 조직의 역량을 상향평준화하라
이기는 습관 10 - 목표는 원대하게, 평가는 냉혹하게
이기는 습관 11 - 디테일의 힘, 1미터씩 쪼개고 잘라서 관찰하라
이기는 습관 12 - 실패는 가장 좋은 교재,

4부. 마케팅에 ...

'꿈꾸는 책들의 도시' 카테고리의 다른 글

[사회] 전쟁과 과학, 그 야합의 역사  (3) 2009.06.30
[경영] 이기는 습관 2 - 평균의 함정을 뛰어넘어라  (0) 2009.06.23
[자기계발] 아웃라이어  (2) 2009.06.08
[과학] 평행우주  (0) 2009.06.04
[인문] 죽음의 밥상  (0) 2009.06.04
컴맹의 컴퓨터 이야기/동향

[펌] 웹 애플리케이션 보안 VS 웹 사이트 컴플라이언스

2009. 6. 17. 10:49 | Posted by 꿈꾸는코난

정보보호를 위한 노력과 컴플라이언스가 반드시 공존을 해야 할 필요는 없을지 모르지만, 구체적인 가이드를 제공하고 이를 만족해야만 주요 정보 자산과 이를 위한 시스템 등을 보호할 수 있다는 관점에서 컴플라이언스는 정보보호를 위한 노력의 일환으로 반드시 필요하다. 또한 이를 위한 가이드를 제공할 수 있는 자체 심사 도구와 심사 후 조치사항에 대한 우선순위를 평가할 수 있는 분석 도구가 요구되며 이는 전적으로 컴플라이언스를 기반으로 제공되어야만 가능하다. 컴플라이언스는 반드시 필요하며 이는 개인 혹은 조직을 규제하기 위한 수단이 아닌 정보보호를 위한 가이드라인으로써 준수해야할 표준의 하나로 인식돼야 한다.

지난 4월 11일은 필자에게 있어서 개인적으로 굉장히 중요하고 정신없이 바쁜 날을 가르는 기준점이었다. 이날은 ‘장애인차별금지법’안의 1단계 발효일이었으며 이 날을 기준으로 모든 공공기관, 특수교육기관, 종합병원 및 300인 이상 사업장과 국가기관은 웹 접근성에 대한 가이드라인을 준수하도록 강제화되었기 때문이다. 지난 3월에 있었던 웹 접근성 세미나 이후 필자는 엄청난 양의 이메일과 전화로 문의를 받았는데 대부분이 “웹 접근성을 이루기 위한 노력이 반드시 필요한지, 이를 위반하는 경우 어떤 제제가 있는지, 웹 접근성을 제공하는 것 자체가 강제화 된 것인지, 현재 웹 사이트에서 웹 접근성을 제공하라는 것은 무리가 아닌지, 어떻게 해야만 이러한 접근성 관련 문제를 해결할 수 있는지, 대신 작업을 한다면 어느 정도 기간이 소요되는지” 등등, 높은 관심과 시급한 처리를 요구하는 일들이라는 문의가 많이 있었다.

웹 애플리케이션 보안과 웹 사이트 컴플라이언스에 주요 비즈니스를 진행하던 필자는 이런 생각이 들었다. ‘장애인차별금지’ 법안과 관련되지 않고 웹 접근성을 해야 한다고 의무사항이 아닌 참고사항으로만 이야기가 나왔다면 이런 많은 질문과 이를 진행해야 하는 필요성이 있었을까? 


컴플라이언스 준수를 위한 다양한 해외 법규 

IT 강국, 대한민국을 만들어낸 것은 정부의 정책이었다고 해도 과언이 아닐 만큼, 초고속 인터넷 사업은 대한민국 내 지역에 따른 정보통신 이용 격차를 해소했고 다양한 기술을 통해 유·무선으로 인터넷 접근성을 높여왔다. 그리고 이를 일반 사용자에서 소외된 계층까지 확대시킬 수 있도록 ‘장애인차별금지법’이 지난 2008년 4월 11일에 발효되고 올해 ‘1단계 시행령’이 발효되었다. 하지만 이러한 접근성과 이용성을 위한 법률과 의무화 뒤로 이러한 다양한 정보에 접근하고 이용하는 사용자들에 대한 보호기술과 기업의 정보보호 의무는 어떻게 되어가고 있는가? 이러한 생각이 머리에서 계속 맴돌았다. 

정보보호기반시설에 관한 법률과 정보보호안전진단 제도에 관련된 내용을 제외하고는 그다지 기업이나 조직 내에 정보보호를 위한 수단 혹은 대상을 지정하는 법규가 제공되고 있지 않은 것이 IT 강국의 현실이고 이것조차도 정보보호 기술 인력이 등재된 정보보호안전진단 업체에서만 수행이 가능하고 자체 심사를 위한 툴이나 관리도구가 없는 상황에서 전적으로 수행기관에 의존적이며 정보보호안전진단의 경우 1년에 한 번 다가오는 통과의례라고 생각하고 간단히 받고자 하는 사례도 존재한다. 

웹 사이트 컴플라이언스는 이미 10여 년 전부터 해외에서는 이슈가 되어 왔으며 이를 준수할 수 있도록 하는 다양한 법령과 법규가 시장에서 기업과 조직이 따라갈 수 있도록 가이드로 존재하고 있다. 다음의 예들은 개인정보보호에 대해서 각국에서 얼마나 많은 관심과 노력을 기울이고 있고 그러한 노력의 일환으로 다양한 대상에 대한 법령들이 제정되어 이용되고 있음을 보여주는 사례이다. 

  • California Assembly Bill No. 1950 and Senate Bill 1386(AB 1950 & SB 1386)
    캘리포니아 거주자에 대한 개인정보를 유지하는 기업들 및 이들의 서드파티에게 요구하는 보안요구 사항으로 개인정보에 대한 보호를 위한 보안 절차 구현과 유지보수에 대한 내용과 이에 대한 관리와 이용 및 취득에 관련된 법안이며 Best Practice를 구현할 수 있는 시스템 혹은 솔루션과의 연계를 통한 준수 확인을 기본으로 하고 있어 이에 대한 법적 제제 및 수정이 가능하도록 되어있다.
  • Children Online Privacy Protection Act(COPPA)
    미연방무역위원회에서 발표하고 시행한 법률로 13세 이하 어린이의 개인정보를 수집하고 사용하는 행위를 방지하는 법이며 이는 Safe Harbor를 고려할 수 있도록 하고 있어 아동에 대한 개인정보를 보호하는 수단으로 이용되고 있다.
  • Data protection Act
    1984년 영국에서 개인 정보에 대한 보호를 위해 발효된 정책이며 이를 1998년도에 개정하여 2000년 3월 1일 시행되었다. 해당 법은 개인정보에 대한 정의와 의미를 새롭게 했으며 개인정보와 중요 개인정보를 차별화함으로써 원래 법의 범위를 확대했다. 해당 법에서는 개인정보의 ‘확보’, ‘보유’ 및 ‘공개’의 개념이 통합되어 있으며 이를 위한 8가지의 정보보호방침이 제시되어 있다.
  • DCID 6/3
    다양한 수준에 대한 기술과 정보에 대한 무결성과 기밀성 및 이용성에 대한 법률의 목록이며 이들 모두가 위반사항이 있는지를 찾기 위한 컴플라이언스이다. 이를 준수함으로써 기업 및 조직은 정보자산에 대한 보호가 안전하게 이루어지고 있음을 확인할 수 있다.
  • European Directive 1995/46/EC 및 European Directive 2002/58/EC
    모든 사람의 기본적인 권리와 자유를 보호하기 위한 것이며 특히 개인정보의 처리와 관련하여 개인정보보호권리를 보호하기 위한 것이다.
  • Federal Information Security Management Act(FISMA)
    의회에서 통과되어 대통령이 ‘Electronic Government Act of 2002’로 이 법안을 채택했다. 이 법은 연방 정보 및 자산을 보호하기 위해 종합적인 조치를 수행하는 체제를 제공하는 것이다. 이는 국가 보안에 중요한 준수사항으로 정부차원에서 철저하게 검사되는 최상의 준수사항이며 해당 요구사항을 준수했다는 연간보고서를 제공하고 이를 평가 및 관리하여 새로운 조치 방안 계획을 포함하는 다양한 테스트 및 계획의 유효성을 종합적으로 검증할 수 있도록 한다.
  • Financial Service(Gramm-Leach-Billy Act : GLBA)
    1999년에 제정된 Financial Service Modernization Act의 일부로 금융 기관이 보유하고 있는 이용자의 개인금융정보를 보호하는 규정을 말한다. 이 법은 금융, 보험, 주식을 분리한 장벽을 폐지함으로써 미국 금융서비스 제공자가 상호협력하여 상대편 시장에 진출할 수 있도록 하며 웹 사용 가능한 환경을 통해 해커가 접근할 수 있는 중요한 고객 정보를 금융기관이 보하도록 하기 위한 것이다. 이 보안 규칙은 2003년도에 시행되었으며 고객 정보의 보안을 위한 사전 준비가 필요하며 미국 금융업계의 현대화를 위한 목적과 개인정보보호 및 보안을 위한 부분을 포함하고 있다.
  • Health Insurance Portability and Accountability Act(HIPPA)
    건강과 관련된 조직간에 안전한 방법으로 건강 정보를 공유할 수 있도록 하는 것이 목표다. 이 안에는 개인정보의 취득에 대한 방법과 수집된 정보가 안전한지, 개인 건강 정보가 서드파티에 전달되지 않도록 하며 정보의 보안, 무결성에 대한 위협 혹은 유해성이 존재하는 지와 정보의 무산 사용 및 공개 등에 관한 문제를 확인할 수 있도록 한다. 물론 데이터 무결성, 기밀성, 사용 가능성을 보호하기 위한 전문적인 보안 서비스를 제공할 수 있도록 가이드하며 이를 위한 시스템 활동을 기록하고 조사할 수 있는 감사 제어 메커니즘을 확립할 수 있도록 강제화 하고 있다. 
  • Personal Information Protection Act(PIPA)
    일본에서 비즈니스를 수행하는 회사의 경우 이 법을 통해 개인정보의 실용성을 유지하는 동시에 개인의 권리와 복지를 보호받으며 이용되는 개인정보의 관리, 처리 등에 관한 내용을 법으로 지정하고 있는 것이다.
  • Privacy Act of 1974
    미국 연방행정관리국에서 수행하는 개인정보의 수집, 유지보수, 사용 및 보급을 규제하기 위한 포괄적인 ‘공정 정보 사례법’이며 이는 개인 정보가 보관되는 방법을 설명하고 관계없는 기록을 보관함으로 개인 프라이버시가 불필요하게 침해되는 것을 방지하는 법령으로 이를 위한 다양한 준수사항을 제공하고 있다.
  • Safe Harbor
    미국 상무부에서 미국에 있는 기업들이 EU 지침을 준수하는 과정을 간소화하는 규정으로 개발 배포한 것이다. 이는 유럽연합의 포괄적인 개인정보보호 규정인 Directive Data Protection이 유럽연합국이 아닌 국가 및 지역의 경우 충분한 수준의 개인정보보호를 제공하는 경우에만 개인정보를 전송하도록 하여 제한하기에 발생하는 문제를 해결하기 위해 미국 본사, 미국 이외의 국가 및 지역에 있는 미국 계열사, 유럽 기업의 비즈니스 파트너에 적용되도록 했다.   

이와 같이 더 나열하기 어려울 만큼의 많은 규정과 법령이 존재하며 이 중에는 ISO 17799/27001, Sarbanes-Oxley Act, PIPED Act 등도 존재하고 이들은 모두 하나의 가이드라인이자 법규로서 정보보호, 혹은 개인정보보호를 위해 조직과 기업들이 무엇을 지켜야 하는지를 알려주며 위반사항에 대해서 판별할 수 있도록 하는 툴과 같이 활용할 수 있는 이중성을 가지고 컴플라이언스의 활용성을 높이고 있다. 


효율적인 비즈니스를 위한 컴플라이언스

전 세계적인 상황이 이렇다면 우리도 IT 강국으로서 개인정보 및 다양한 정보 시스템에 대한 보안을 효과적으로 이루기 위한 자체적인 가이드라인과 이를 평가하기 위한 도구를 활용할 수 있도록 하는 복합적인 목적의 컴플라이언스를 정보 혹은 산업계에서 개발하여 준수할 수 있도록 하는 것이 필요하다.

이는 단순히 누군가를 옭아매자는 것이 아니라 하나의 Best Practice를 구현하여 모든 조직과 기업이 자기의 정보시스템과 해당 시스템에 존재하는 다양한 민감한 정보에 대한 보호를 위한 노력이 단순히 얼마를 이용했으며 이게 투자대비효과라는 ROI관점에서만 논의될 것이 아닌, 의무사항으로 기업이 반드시 준수하여 자기의 자산과 이에 관련된 정보를 보호하는데 이용될 수 있도록 하는 노력을 기울여야 할 것이다. 앞에서 언급한 ‘장애인차별금지법’은 하나의 좋은 예라고 할 수 있다. 해당 법령은 시행령을 기반으로 무엇을 어떻게 준수해야 하는 가를 제공하며 이를 위한 국가표준 가이드라인의 준수를 이야기하고 있으며 이를 준수하기 위한 다양한 기술적인 검토를 위한 정보를 제공하고 있다. 

이러한 노력은 이미 오래 전부터 기업과 조직이 정보보호를 이루기 위한 다양한 노력에서도 나타나고 있었지만 이를 적용하고 유지하고 개선하기 위한 정책적인 배려가 없었기에 더 많은 관심과 지원이 이루어지지 않았다고 보고 있다.

이러한 국가 혹은 산업계 차원의 규정을 통한 정책적인 지원이 이루어진다면 이는 향후 다양한 정보를 제공하고 제공받는 온라인 환경에서 이루어지는 다양한 비즈니스가 국경을 초월하여 효과적으로 이루어 질 수 있도록 하는 기반이 될 것이며 이를 통해 IT 강국으로서 시장을 선도하는 조직 및 기업 가치를 확대해 나갈 수 있을 것임을 믿어 의심하지 않는다.

규정과 법령을 통한 정책적인 지원은 당연시되는 정보보호를 위한 기본적인 노력이 기업 및 조직 내에서 이루어 질 수 있도록 도움을 제공할 것이며 이러한 노력이 정말 필요한 것인지를 확인할 수 있고 이에 대한 투자대비효과라는 평가는 사라지고 이를 통한 컴플라이언스 준수여부를 통해 정보보호에 대한 진정성을 평가 받을 수 있게 될 것이다.

이는 단순히 정보보호를 위한 보안시스템이나 감시, 감사도구에 대한 내용뿐만 아니라, 이를 운영하고 관리하는 주체에 대한 효율적인 평가와 관리 방법으로 이용될 수 있을 것이다. 


컴플라이언스는 정보보호 위한 가이드라인

필자는 늘 보안성을 높이기 위해서는 다음의 4가지 주체에 대한 정의, 개발, 관리, 유지가 필요하다고 말한다. 이는 사람, 기술, 프로세스 및 규정(Compliance)으로, 이러한 4가지 주체가 정상적으로 존재하고 적용된다면 기본적인 보안성을 이룰 수 있다고 말한다. 마지막으로 이러한 것을 고려한 컴플라이언스의 좋은 예를 한 가지만 소개하고자 한다.  PCI-DSS는 잘 아는 것처럼 Payment Card Industry·Data Security Standard로 규정이 존재하고 이를 확인하기 위한 Self-Assessment Tool을 제공하며 이를 검증받기 위한 Qualify Security Assessor의 라이센싱과 이용을 권고하며 평가를 위한 Authorized Scanning Vender를 제공할 수 있는 규칙과 라이센스를 제공하고 있고 평가 후 개선시 우선순위를 평가하기 위한 Prioritized Approach를 제공하고 있다. 이 외에도 지속적인 툴과 업데이트를 제공하기 위한 노력을 하고 있는데 이러한 노력이 정부 혹은 산업 표준 차원에서 계속적으로 이루어져 다양한 컴플라이언스를 통한 가이드를 제공한다면 우리가 논하는 정보보호를 위한 기업 혹은 조직의 노력에 대한 평가가 명확히 이루어 질 수 있을 것이며, 이는 복잡한 비즈니스 환경과 프로세스 및 다양한 연관성에서 나타나는 많은 문제점들에 대한 해결책으로 이용될 수 있을 것이다. 

컴플라이언스는 반드시 필요하며 이는 개인 혹은 조직을 규제하기 위한 수단이 아닌 정보보호를 위한 가이드라인으로써 준수해야할 표준의 하나로 인식될 수 있도록 정부 차원 및 산업계 차원에서 노력해 나아가야 할 것이다.

<글 : 이동일 시드시스템 대표(jaisonyi@gmail.com)>

'컴맹의 컴퓨터 이야기 > 동향' 카테고리의 다른 글

[펌] 행안부, “DDoS 대응체계 구축사업 벌인다!”  (0) 2009.06.26
[펌] 봇넷/DDoS/컨피커, 그 다음은?  (0) 2009.06.23
[펌] 웹방화벽의 숙명적인 진화, 지능화된 보안 제품 요구  (0) 2009.06.17
[웹] 웹 2.0 보안: 소셜 웹 사용시 주의 사항  (0) 2009.06.11
[펌] 공공기관 망분리로 보안 및 관리수준 한 단계 상승  (0) 2009.06.10
컴맹의 컴퓨터 이야기/동향

[펌] 웹방화벽의 숙명적인 진화, 지능화된 보안 제품 요구

2009. 6. 17. 10:43 | Posted by 꿈꾸는코난


보다 지능화되고 있는 웹 방화벽, 그 ‘지능화’의 필요성
어느 분야보다 소프트웨어의 지능이 절실하게 필요한 분야가 보안 소프트웨어 분야이다.지능성(Intelligence)은 정보보안 기술 고유의 특징이자 보안 소프트웨어가 막아내야 하는 공격의 본질적인 속성이기 때문에 지능적인 보안 소프트웨어에 대한 요구는 자연스러운 현상이다. 성능과 가용성을 중요시하는 네트워크 분야 보다는 다양한 사용자들의 유형이 표현되고 실제로 개발자들에 의해서 매일 변화가 만들어지는 애플리케이션 분야에서 지능성의 필요는 보안 소프트웨어 생명 자체를 좌지우지할 정도로 너무나 중요한 요소로 자리 잡고 있다.
성능과 가용성을 중요시 하는 네트워크 분야 보다는 다양한 사용자들의 유형이 표현되고 실제로 개발자들에 의해서 매일 변화가 만들어지는 애플리케이션 분야에서 지능성의 필요는 보안 소프트웨어 생명 자체를 좌지우지할 정도로 너무나 중요한 요소로 자리 잡고 있다. 애플리케이션 보안 중 그 공격 유형이 다양한 웹 애플리케이션 보안 분야와 이를 위한 웹 방화벽에서의 지능화에 대해 살펴보겠다.

 

공격 패턴을 지능화하여 설정했던 1세대 웹 방화벽

웹 애플리케이션 보안을 담당하는 웹 방화벽은 탄생 초기부터 기존의 보안 장비, 예를 들어 네트워크 방화벽(침입 차단 시스템), 침입 탐지/방지 시스템과는 다른 형태로 만들어 져야 한다는 의견이 일반적이었다. 그 대표적인 이유는 웹 애플리케이션의 특성상 기존의 침입 탐지/방지 시스템에서와 같이 특정한 공격 유형과 패턴, 취약점 패턴 등을 검사하는 것만으로는 공격을 막아낼 수 없기 때문이다.

웹 애플리케이션은 매일 서로 다른 개발자들에 의해서 만들어지고 있고, 지금 이 순간에도 새로운 유형의 취약점이 새로운 애플리케이션에 알게 모르게 만들어지고 있는 것이 현실이다. 이러한 형태에 대한 대응을 위하여 제시된 웹 애플리케이션 보안의 핵심 키워드가 바로 ‘Positive Security Model’이다. Positive Security Model을 갖는 웹 방화벽 구현을 위하여 기존의 보안 장비들의 공격 대응 방식인 Black List 관리 방식에 더하여 White List 관리 방식을 도입하여 Positive Security Model을 구현한 웹 방화벽들이 시장에 선보이게 되었다.

이러한 1세대 웹 방화벽의 경우 관리자는 보안 정책 구현을 위하여 Black List와 White List로 관리되는 패턴 데이터베이스를 직접 등록하거나 관리하는 노력이 필요하다. 여기서 웹 방화벽의 지능은 관리자가 등록 및 편집하는 패턴 정보(일종의 Signature)에 의해 결정된다. 웹 방화벽 자체가 지능이 있다기보다는 웹 방화벽은 패턴 매칭 엔진을 탑재하고 있고, 관리자의 인간 지능이 패턴을 최적화하여 등록해야 한다.

이러한 1세대 웹 방화벽은 기존의 고성능 패턴 매칭 엔진을 보유한 기업에서 쉽게 웹 방화벽을 출시할 수 있는 방식이었다. 기존의 침입 탐지/방지 시스템과는 다르게 웹 애플리케이션에 대한 공격을 패턴 데이터베이스 업데이트만으로 방어할 수 없다는 인식에서 White List 방식을 도입했지만, 관리자가 직접 설정해야 하는 불편함은 White List 방식을 실제적으로 사용하지 않게 만들고, 현실적으로 Black List 만으로 웹 공격들을 막는 일을 초래했다.

이러한 운영 방식은 웹 방화벽을 무용지물로 만들거나 또는 오탐으로 인한 웹서비스 방해물로 전락시키게 되어, 보안 시장에서는 웹 방화벽은 오탐이 많아서 웹서비스에 영향을 많이 주는 제품 또는 다양한 웹 공격들, 대표적으로 SQL Injection과 같이 변이가 많은 공격들을 제대로 막지 못 하는 제품으로 누명을 쓰게 된다.

 

자동 학습 지능을 탑재한 2세대 웹 방화벽

보안 시장에서 웹 방화벽의 가능성을 보여준 것은 White List에 대한 관리자의 설정 행위, 즉 운영을 자동화한 2세대 웹 방화벽의 역할이었다. 2세대 웹 방화벽은 관리자가 직접 White List를 설정해야 하는 불편함을 자동 학습 기능으로 제공하여 관리자가 실제적으로 White List를 현실에 맞게 사용할 수 있는 방안을 제공했다.

White List는 매우 강력한 보안 기능임에도 불구하고 현재 애플리케이션에 적합한 정책이 설정되지 않으면 애플리케이션을 사용할 수 없게 만드는 치명적인 반대 효과가 나타나기 때문에 1세대 웹 방화벽에서는 관리자가 수동 설정을 하는 많은 수고를 들이거나 White List 방식을 대부분 사용하지 않게 되는 결과를 낳았다. 하지만 2세대 웹 방화벽에서는 이를 자동으로 학습하여 관리자가 현재 애플리케이션에 적합한 보안 정책을 수동으로 만들지 않고 자동으로 얻어낼 수 있는 기능을 제공했다.

결국 2세대 웹 방화벽은 학습 기능의 지능이 웹 보안을 원하는 관리자가 사용 가능한 효과적인 수준인가가 제품의 품질을 결정하게 되었다. 어떤 제품은 최소 2주간의 학습기간을 거쳐야만 학습이 가능한 제품이 있는데, 이 경우 국내에서와 같이 웹 애플리케이션이 매일 매일 변화되는 환경에서는 현실적으로 사용이 어려운 단점이 있다.

또한 학습 지능이 아무리 좋다고 하더라도 관리자에게 검증을 받지 않는 정책을 바로 적용하는 것은 White List의 성격 상 웹 애플리케이션 서비스 자체의 장애로 까지 이어질 수 있기 때문에 관리자의 수동 정책 설정보다는 수월해 졌지만, 정책 설정에 관리자가 매우 깊게 개입해야 하는 것은 2세대 웹 방화벽의 여전한 특징이다.

 

새로운 개념의 지능을 탑재한 웹 방화벽

2세대 웹 방화벽이 고도의 기술 개발과 지능 개발을 통하여 매우 현실적인 웹 방화벽을 만들어 낼 수 있을 것이라는 기대도 있지만 웹 애플리케이션 특성에 초점을 맞춘 새로운 개념의 지능을 탑재한 웹 방화벽에 대한 기대는 클 수밖에 없다. 기존의 2세대 웹 방화벽 역시 기존의 1세대와 같이 Black List와 White List를 계층적으로 결합한 형태로 고성능 패턴 매칭 엔진을 이용하여 Black List는 빈번하고 빠른 패턴 업데이트를 필요로 하고 White List는 현재 보호하고자 하는 웹 애플리케이션을 최대한 모델링 하겠다는 취지에는 큰 변화가 없기 때문이다.

지능적인 웹 방화벽은 Black List와 White List의 물리적인 결합이 아닌 웹 애플리케이션과 웹 공격에 대한 최적의 방어 엔진을 설계하고 엔진 내부의 기능이 자연스럽게 Black List와 White List의 결합, 그리고 Positive Security Model의 구현의 포함하고 있는 형태이다. 이러한 도전을 진행한 제품이 필자의 회사에게 개발한 WAPPLES이라는 웹 방화벽이다. WAPPLES이 지능형 웹 방화벽의 정답은 될 수 없겠지만 웹 애플리케이션 보안을 기존의 방어 기술의 결합이 아닌 새로운 시각에서 접근했다는 점과 관리자 관점에서의 운영성을 반영하여 지능화한 노력은 주목할 만할 점이다.

 

‘지능화’는 보안 제품의 숙명

보안 제품을 만드는 사람들이 각자 자신의 위치에서 지능화에 최선의 노력을 기울이는 것이 지금의 보안 환경에서는 당연한 일이 된 듯 하다. 웹 방화벽이 웹서비스의 대중화와 확대에 따라서 더욱 많은 관심을 받는 상황에서 WAPPLES에 대한 시장에서의 평가가 웹 방화벽 시장에서 ‘지능화’에 대한 노력이 얼마나 성공을 거둘 것인가로 주목을 받을 만한 가치가 있다. 이제는 지능화된 보안 제품만이 고객의 선택을 받을 수 있고 실질적으로 고객에게 도움을 줄 수 있다는 점에서 ‘지능화’는 보안 제품의 숙명이라 하겠다.

<글 : 김덕수 펜타시큐리티시스템 보안기술연구소장(dskim@pentasecurity.com)>

'컴맹의 컴퓨터 이야기 > 동향' 카테고리의 다른 글

[펌] 봇넷/DDoS/컨피커, 그 다음은?  (0) 2009.06.23
[펌] 웹 애플리케이션 보안 VS 웹 사이트 컴플라이언스  (0) 2009.06.17
[웹] 웹 2.0 보안: 소셜 웹 사용시 주의 사항  (0) 2009.06.11
[펌] 공공기관 망분리로 보안 및 관리수준 한 단계 상승  (0) 2009.06.10
[펌] 논리적/물리적 보안 융합 : 하나의 보안 시스템으로  (0) 2009.06.09
컴맹의 컴퓨터 이야기/동향

[웹] 웹 2.0 보안: 소셜 웹 사용시 주의 사항

2009. 6. 11. 09:38 | Posted by 꿈꾸는코난

웹센스(Websense) CTO인 댄 허버드가 설명하는 기업이 소셜 웹에서 위협과 손상으로부터 자사 정보를 보호하는 4가지 방법이다.


1) 블로그와 포럼에 있는 웹 게시물 대부분이 실제로 원하지 않는 콘텐츠라는 점을 인지

블로그, 포럼 및 대화방 같이 사용자가 생성하는 콘텐츠를 허용하는 사이트에서 사용자들의 상호 작용이 점점 늘어나면서 스패머와 사이버 범죄자들이 메모를 남기고 이를 악용하여 스팸을 전파하고 자신의 웨어로 돌아오는 링크를 게시하며 악의적인 사이트로 사용자를 유도하는 일이 발생했다. 

웹센스의 연구 결과에 따르면, 블로그와 포럼에 있는 모든 웹 게시물의 85%가 스팸과 맬웨어 등 원하지 않는 콘텐츠이며, 5%는 실제로 맬웨어, 사기 및 피싱 공격이라는 것을 보여주고 있다. 활동하는 블로그에 매달 평균 8,000에서 1만 개의 링크가 게시되므로 사용자들은 분명 이러한 사이트에 있는 링크를 클릭하기를 주저하게 될 것이다.  

또한 사이트의 평판이 좋다고 해서 안전한 것은 아니다. 소니 픽쳐스(Sony Pictures), 디그(Digg), 구글(Google), 유튜브(YouTube) 및 워싱턴 주립 대학(Washington State University)에서 운영하는 블로그와 메시지 보드에도 최근 악의적인 내용의 스팸이 게시되었으며 My.BarackObama.com은 악의적인 내용의 스팸으로 감염된 적이 있다.

 

2) 구글 세이프(Google Safe)의 상위 검색 결과를 믿을 수 있을까?

검색 엔진 감염이 계속 인기를 끌면서 사이버 범죄자들이 악의적인 코드나 스팸이 있는 웹 사이트 링크를 상위로 끌어 올리는 데 사용되고 있다. 많은 사용자들이 상위 검색 결과는 안전할 것으로 여기지만 실제로는 감염된 웹 사이트로 이동하게 만다. 예를 들어, 3월에는 구글 검색창에 "March Madness(3월의 광란)"라고 입력하고 상위 검색 결과 링크를 클릭한 야구 팬들이 실제로 "허위 안티바이러스(rogue antivirus)" 소프트웨어에 감염된 웹 사이트로 이동한 일이 있다(3번 참조).

 

3) 다운로드하기 전 보안체크 필수  

과거에는 사이버 범죄자들이 신용 카드 정보와 기타 개인 정보 등을 웹 사용자로부터 얻기 위해 "허위 안티바이러스(rogue antivirus)"라는 것을 많이 사용했다. 일반적으로 허위 안티바이러스 제작자는 트래픽을 자신의 사이트나 감염된(위에서 설명) 사이트로 이동시키기 위해 검색 엔진 감염을 사용한다. 종종 자신이 통제하는 악의적인 사이트로 이동시키는 링크를 블로그와 포럼에 게시한다. 사용자가 이러한 웹 사이트를 방문하면 컴퓨터가 맬웨어에 감염되었다는 경고창이 표시된다. 그런 다음 이 시스템을 치료하려면 비용을 지불해야 하며 "안티바이러스" 소프트웨어 프로그램을 다운로드할 것인지 묻는다. 실제로 공격자는 허위 소프트웨어 비용을 지불하기 위해 사용자의 신용 카드 정보를 알려주도록 유도하고 컴퓨터에 성공적으로 맬웨어를 설치하게된다. 한 가지 예는 전세계 수 많은 컴퓨터를 감염시킨 것으로 알려진 콘피커 웜이 있다. 콘피커 웜에 감염된 일부 사용자에게서 컴퓨터에 파일이 다운로드된 것이 관찰됐다. 파일을 실행하지 마자 사용자에게 "발견된 위협"을 제거하려면 49.95달러를 지불할 것을 요구했다.

안티피싱 워킹 그룹(Anti-Phishing Working Group)은 최근 허위 바이러스 프로그램 수가 2008년 7월에서 2008년 12월까지 225% 증가하여 7월부터 발견된 허위 안티바이러스 프로그램 수보다 3배 이상 늘었다는 몇 가지 흥미로운 통계를 발표했다.  

컴퓨터 사용자가 감염되지 않았고 안티바이러스 프로그램을 설치할 필요가 없는 데도 웹 사용자들을 불안하게 하여 돈을 갈취하려는 것이 허위 안티바이러스 공격의 책략입니다.

 

4) 소셜 네트워크의 친구 메시지도 쉽게 믿지 말라

웹센스 보안 연구소(Websense Security Labs)는 최근 "개인 Web 2.0 소셜 네트워크를 통해 전달되는 웹 위협은 새로운 것이 아니다. 친구에게서 온 것이라도 의심되는 메시지는 무조건 믿지 말라"고 권고했다. 소셜 네트워킹의 성장은 위협을 전달하는 새로운 방법을 만들어냈다. 웹 사용자는 단축 URL이 있는 트위트(tweets), 페이스북 페이지에 게시된 동영상 링크, 자신들의 소셜 네트워킹 사이트에서 보낸 이메일 메시지를 받으면 대부분의 사람들이 보낸 사람을 신뢰하기 때문에 주저하지 않고 링크를 클릭하는 데 익숙해져 있다는 것을 악용하는 방법이다.

범죄자는 이런 신뢰를 악용하여 맬웨어와 감염된 웹 사이트 링크를 퍼뜨린다는 것은 불행한 현실이다. 웹센스 보안 연구소는 최근 페이스북에서 보낸 이메일 메시지가 실제로는 멀웨어에 감염된 "동영상" 링크를 클릭하도록 유도하는 범죄자에게서 보내온 것임을 발견했다.


출처 : IDG
원문 : http://www.idg.co.kr/newscenter/common/newCommonView.do?newsID=56561 

'컴맹의 컴퓨터 이야기 > 동향' 카테고리의 다른 글

[펌] 웹 애플리케이션 보안 VS 웹 사이트 컴플라이언스  (0) 2009.06.17
[펌] 웹방화벽의 숙명적인 진화, 지능화된 보안 제품 요구  (0) 2009.06.17
[펌] 공공기관 망분리로 보안 및 관리수준 한 단계 상승  (0) 2009.06.10
[펌] 논리적/물리적 보안 융합 : 하나의 보안 시스템으로  (0) 2009.06.09
[펌] 아이템베이 DDoS 공격 범인 검거됐다  (0) 2009.06.01
컴맹의 컴퓨터 이야기/IPv6

[IPv6] Neighbor Discovery

2009. 6. 10. 20:47 | Posted by 꿈꾸는코난

Neighbor Discovery
Internet Protocol version 6 (IPv6) Neighbor Discovery (ND) is a set of messages and processes defined in RFC 4861 that determine relationships between neighboring nodes. ND replaces Address Resolution Protocol (ARP), Internet Control Message Protocol (ICMP) router discovery, and the ICMP Redirect message used in IPv4. ND also provides additional functionality.

  * ND message format

   


    - Router Solicitation
    - Router Advertisement
    - Neighbor Solicitation
    - Router Advertisement
    - Redirect

  * Router Solicitation
The Router Solicitation message is sent by IPv6 hosts to discover the presence of IPv6 routers on the link. A host sends a multicast Router Solicitation message to prompt IPv6 routers to respond immediately, rather than waiting for an unsolicited Router Advertisement message.

For example, assuming that the local link is Ethernet, in the Ethernet header of the Router Solicitation message you will find these settings:

■ The Source Address field is set to the MAC address of the sending network
    adapter.
■ The Destination Address field is set to 33-33-00-00-00-02.
    In the IPv6 header of the Router Solicitation message, you will find the following
    settings:
■ The Source Address field is set to either a link-local IPv6 address assigned to the
    sending interface or the IPv6 unspecified address (::).
■ The Destination Address field is set to the link-local scope all-routers multicast
    address(FF02::2).
■ The Hop Limit field is set to 255.

  * Router Advertisement
IPv6 routers send unsolicited Router Advertisement messages pseudo-periodically—that is, the interval between unsolicited advertisements is randomized to reduce synchronization issues when there are multiple advertising routers on a link—and solicited Router Advertisement messages in response to the receipt of a Router Solicitation message. The Router Advertisement message contains the information required by hosts to determine the link prefixes, the link MTU, specific routes, whether or not to use address autoconfiguration, and the duration for which addresses created through address autoconfiguration are valid and preferred.

For example, assuming that the local link is Ethernet, in the Ethernet header of the Router Advertisement message, you will find these settings:

■ The Source Address field is set to the MAC address of the sending network
    adapter.
■ The Destination Address field is set to either 33-33-00-00-00-01 or the unicast
    MAC address of the host that sent a Router Solicitation from a unicast address.
    In the IPv6 header of the Router Advertisement message, you will find the
    following settings:
■ The Source Address field is set to the link-local address assigned to the sending
    interface.
■ The Destination Address field is set to either the link-local scope all-nodes
    multicast address (FF02::1) or the unicast IPv6 address of the host that sent the
    Router Solicitation message from a unicast address.
■ The Hop Limit field is set to 255.

  * Neighbor Solicitation
IPv6 nodes send the Neighbor Solicitation message to discover the link-layer address of an on-link IPv6 node or to confirm a previously determined link-layer address. It typically includes the link-layer address of the sender. Typical Neighbor Solicitation messages are multicast for address resolution and unicast when the reachability of a neighboring node is being verified.

For example, assuming that the local link is Ethernet, in the Ethernet header of the Neighbor Solicitation message, you will find the following settings:

■ The Source Address field is set to the MAC address of the sending network
    adapter.
■ For a multicast Neighbor Solicitation message, the Destination Address field is
    set to the Ethernet MAC address that corresponds to the solicited-node address
    of the target. For a unicast Neighbor Solicitation message, the Destination
    Address field is set to the unicast MAC address of the neighbor.
    In the IPv6 header of the Neighbor Solicitation message, you will find these
    settings:
■ The Source Address field is set to either a unicast IPv6 address assigned to the
    sending interface or, during duplicate address detection, the unspecified address
    (::).
■ For a multicast Neighbor Solicitation, the Destination Address field is set to the
    solicitednode address of the target. For a unicast Neighbor Solicitation, the
    Destination Address field is set to the unicast address of the target.
■ The Hop Limit field is set to 255.

  * Neighbor Advertisement
An IPv6 node sends the Neighbor Advertisement message in response to a Neighbor Solicitation message. An IPv6 node also sends unsolicited Neighbor Advertisements to inform neighboring nodes of changes in link-layer addresses or the node’s role. The Neighbor Advertisement contains information required by nodes to determine the type of Neighbor Advertisement message, the sender’s role on the network, and typically the link-layer address of the sender.

For example, assuming that the local link is Ethernet, in the Ethernet header of the Neighbor Advertisement message, you will find the following settings:

■ The Source Address field is set to the MAC address of the sending network
    adapter.
■ The Destination Address field is set, for a solicited Neighbor Advertisement, to the
    unicast MAC address of the initial Neighbor Solicitation sender. For an
    unsolicited Neighbor Advertisement, the Destination Address field is set to 33-33-
    00-00-00-01, which is the Ethernet MAC address corresponding to the link-local
    scope all-nodes multicast address.
    In the IPv6 header of the Neighbor Advertisement message, you will find
    these  settings:
■ The Source Address field is set to a unicast address assigned to the sending
    interface.
■ The Destination Address field is set, for a solicited Neighbor Advertisement, to the
    unicast IP address of the sender of the initial Neighbor Solicitation. For an
    unsolicited Neighbor Advertisement, the Destination Address field is set to the  
    link-local scope all-nodes multicast address (FF02::1).
■ The Hop Limit field is set to 255.

  * Redirect
The Redirect message is sent by an IPv6 router to inform an originating host of a better firsthop address for a specific destination. Redirect messages are sent only by routers for unicast traffic, are unicast only to originating hosts, and are processed only by hosts.

For example, assuming that the local link is Ethernet, in the Ethernet header of the Redirect message, you will find the following settings:

■ The Source Address field is set to the MAC address of the sending network
    adapter.
■ The Destination Address field is set to the unicast MAC address of the originating
    sender. In the IPv6 header of the Redirect message, you will find these settings:
■ The Source Address field is set to a unicast address that is assigned to the
    sending interface.
■ The Destination Address field is set to the unicast IP address of the originating
    host.
■ The Hop Limit field is set to 255.

  * ND messages and the options that might be included

  * IPv4 Neighbor Message and Fuctions and IPv6 Equivalents

'컴맹의 컴퓨터 이야기 > IPv6' 카테고리의 다른 글

[IPv6] ICMPv6  (1) 2009.06.10
[IPv6] IPv6 Header  (0) 2009.06.10
[IPv6] IPv6 Addressing  (0) 2009.06.09
[IPv6] Comparison of IPv4 and IPv6  (0) 2009.06.09
[IPv6] IPv6 시대가 도래할 것인가?  (0) 2009.05.28
컴맹의 컴퓨터 이야기/동향

[펌] 공공기관 망분리로 보안 및 관리수준 한 단계 상승

2009. 6. 10. 20:09 | Posted by 꿈꾸는코난

http://www.boannews.com/media/view.asp?idx=16564&kind=0

공공기관 망분리로 보안 및 관리수준 한 단계 상승


공공기관 망분리를 통한 정보보안 강화

망분리는 해킹을 원천 차단하고, 기밀 정보의 외부 유출을 방지하기 위해 업무망과 인터넷망 분리를 목적으로 하고 있다. 사용자 입장에서는 하나의 PC에서 업무 및 인터넷을 동시에 사용하는 환경에서 망분리를 통해 기존 PC는 업무용으로만 사용하고, 새롭게 도입되는 인터넷 PC에서는 인터넷 사용이 가능하도록 환경이 달라지는 것이다.


공공기관의 네트워크 분리 사업은 작년부터 본격적으로 사업이 진행되어 19개 기관을 순차적으로 완료하고 2010년까지 30여 국가 주요 기관까지 확대할 계획이다.

망분리의 방법에는 물리적인 분리 뿐 아니라 SBC 기반 논리적인 분리도 있다. 하지만 여기에서는 국가 망분리 사업에 적용되는 물리적인 분리에서의 보안 강화 방안을 알아보고 망분리 사업시 적용되는 보안 솔루션에 대해서 알아보고자 한다. 또한 망분리 사업에서 개선해야 할 사항에 대해서 언급하고자 한다.

망분리 사업은 기존 업무망과 별도의 인터넷망을 추가로 구성하게 된다. 따라서 신규로 구성되는 인터넷 구간에는 내·외부 접속 정책을 정의하는 침입차단시스템, 내부 중요자료의 외부 유출을 감시 및 차단하는 내부정보유출방지시스템이 필요하고, 인터넷망과 업무망의 사용자 PC 혼용 방지를 위해서 네트워크 접근제어시스템, 사용자 PC의 보안을 위한 PC 보안 관리 시스템, 업무 자료 이동 시 보안을 위한 보안USB관리시스템 등의 보안 솔루션 구축이 필요하다. 각 솔루션별 구성 및 기능에 대해 알아보도록 하자.


침입차단시스템

신규로 구성되는 인터넷 구간에는 기본적으로 방화벽을 설치한다. 인터넷 구간은 웹서비스 등 외부로 제공하는 서비스가 없이 내부의 PC가 인터넷을 접속하기 위한 구간이기 때문에 방화벽의 정책은 단순한 설정이 가능하다. 즉, 외부에서 내부로의 접속은 모두 차단하고, 내부에서 인터넷 접속에 대한 정책만 허가해주면 되는 것이다. 침입차단시스템의 주요 기능은 다음과 같다.

● NAT 기능을 통한 인터넷 접속 허가

● 불법적인 접근 시도에 대한 차단

  • 외부 인터넷에서 내부로의 불법적인 접근 시도 차단
  • 비정상 트래픽(DDoS, 웜) 차단

내부정보유출방지 시스템

망분리의 가장 큰 이유 중 하나가 내부의 중요 정보가 외부로의 불법 유출을 막고자 하는 것이다. 따라서 외부로의 연결 통로인 인터넷 구간에서 내부정보유출방지시스템은 필수적인 보안솔루션이라 할 수 있겠다. 내부정보유출방지시스템은 다음과 같은 기능을 제공한다.

● 내부정보 유출 방지 기능

  • 비인가 접속 차단(불법 사이트 차단, 메신저/원격 제어 차단 등)
  • 키워드에 의한 콘텐츠 차단
  • 주민번호, 신용카드, 계좌번호 등 주요 쪾 개인정보 유출 차단

● 정보 유출에 대한 실시간 모니터링 기능

  • 차단 이력 로깅
  • 정보 유출에 대한 실시간 확인

네트워크접근제어 시스템

망분리를 통해 인터넷용 PC와 업무용 PC를 분리했다. 이는 인터넷용 PC는 업무망 접속을 차단하고, 업무용 PC는 인터넷망 접속이 되지 않도록 하기 위해 물리적으로 분리된 2개의 LAN 케이블을 사용하는 것이다. 따라서 IP를 인터넷용으로 변경한 후 LAN 케이블을 바꿔 연결함으로써 업무망 PC에서 인터넷 접속이 가능할 수도 있다는 것이다.

이러한 가능성에 대한 차단 방법이 네트워크접근제어를 통한 인증 기능을 사용하는 것이다. 인터넷망과 업무망에 각각 시스템을 설치하여 인가 PC에 대한 인증 기능을 제공한다.

따라서 업무용 PC는 업무망에 설치된 시스템을 통해서만 인증이 허가되며 인터넷망으로 연결할 경우는 인터넷망의 시스템을 통해 비인가 PC로 판별되어 네트워크 접속이 차단되는 것이다. 네트워크접근제어시스템은 다음과 같은 기능을 제공한다.

● 인터넷과 업무망의 자원 공유 방지

  • 보안인증 PC의 정상적인 네트워크 연결
  • 비인가 PC의 네트워크 접근 차단

● 보안정책 준수

  • 보안정책 위반 PC에 대한 네트워크 격리 및 복원
  • 무결성 실패 PC의 네트워크 격리 및 복원

PC보안관리시스템

PC보안의 기본적인 솔루션으로서 OS, 상용 SW 및 각종 애플리케이션의 보안취약점에 대한 패치 자동 업데이트와 악성코드로부터의 사용자 PC 보호 기능을 제공한다. 간단한 PC 보안은 개인이 Windows 업데이트 기능 설정을 통해서도 패치 업데이트가 가능하지만 업데이트 오류 및 업데이트 시 속도 저하, 사용자 불편 등으로 설정을 해제하여 놓는 경우가 많다. 따라서 PC보안관리시스템을 통한 일괄 보안 관리가 가능하도록 한 것이다. PC보안관리시스템의 기능은 다음과 같다.

● 패치 관리 기능

  • 패치 미적용 PC에 대한 강제 적용
  • 윈도우 자동 업데이트 수행

● 사용자 PC 보안

  • PC 방화벽 설치 및 공유 폴더 제어, 화면 보호기 적용
  • 특정 SW 설치 유도, 불법 SW 검사 및 제어

보안USB관리시스템

망분리 시 필수적인 보안솔루션 중 하나가 보안USB관리시스템이다. 업무 수행 시 많은 부분이 인터넷을 사용해야 하는 경우가 발생하는데, 이 때 업무상 내부의 자료를 외부로 보내야 하는 경우가 발생할 수 있다. 이러한 경우 업무용 PC의 자료를 인터넷 PC로 옮길 때 보안USB를 사용한다. 보안USB는 일반 USB와 달리 접속 시 인증 절차를 거쳐야 하고 보안USB를 통한 자료의 이동은 모두 별도의 저장 공간에 이력을 남기도록 되어 있다.

따라서 불법 유출 등이 발생한 경우 추적 관리가 가능하다. 즉, 일반 USB는 허가 및 등록된 경우만 사용이 가능하고, 기타 비인가 보조기억매체는 매체 제어 기능을 통해 차단한다. 보안USB관리시스템은 다음의 기능을 제공한다.

● 국가정보원 보조기억매체 보안관리 지침에 따른 기능 제공

  • 사용자 인증 및 식별
  • 지정데이타 암복호화
  • 저장된 자료의 임의복제 방지
  • 분실시 지정데이타 보호를 위한 삭제 기능

● 보안USB 관리 기능

  • 보안USB에 의해 저장되는 데이터의 원본 저장 및 로깅
  • 보안USB 분실시 데이터 삭제
  • 허가된 사용자에 한해 보안USB 사용
  • 보안USB를 제외한 보조기억매체 제어 및 포트 차단
  • 외부로의 반·출입 관리 기능

공공기관 망분리 사업의 궁극적 목적은 ‘국가 기밀 자료 유출 방지’

이상으로 공공기관 망분리 사업 시 적용되는 보안시스템에 대해 알아보았다. 보안은 아무리 많은 보안시스템을 구축하고 강화한다고 하여도 완벽하다고 자부할 수 없을 것이다. 본 사업을 통해서도 적은 예산으로 다양한 보안시스템을 구축하려다 보니 부족하거나 아쉬운 부분이 생기게 마련이다. 이 부분을 몇 가지 짚어보고자 한다.


단일 구성에 의한 네트워크 단절 우려

기존 업무망은 네트워크 장비, 보안장비 모두 이중화로 구성되어 있어 네트워크 연속성을 보장하고 있으나, 신규로 구성된 인터넷망은 백본스위치, 방화벽 등의 신규 도입된 장비들은 단일 구성이어서 장애 발생 시 전체 인터넷 구간이 단절될 우려를 안고 있어 이중화 구성이 시급하다.


소속기관으로의 조속한 확대 필요

현재까지 진행되고 있는 사업은 각 공공기관 본부 위주로 진행되고 있어 소속기관은 여전히 업무망을 통해 인터넷 사용과 업무를 동시에 보고 있다. 따라서 소속기관은 본부와 내부망으로 연결되어 있기 때문에 기존 보안문제를 그대로 안고 있는 실정이다. 후속 사업으로 지속적인 확대가 필요하다.


내부사용자들의 보안 인식 교육 강화

가장 중요한 부분이라 생각된다. 08년 국가정보원 정보보호백서의 보안사고 사례를 보면 망분리 된 이후에도 내부자에 의한 보안사고가 발생한 경우를 볼 수 있다. 이는 2대의 PC를 사용하고, 보안 USB를 통해서 자료 이동을 해야 하는 등 사용자 입장에서 번거로울 수밖에 없는 상황에서 자칫 편리성을 위해 보안을 망각하게 되면 내부정보 유출 등의 사고가 여전히 발생할 수 있다는 것을 시사하는 것이다. 따라서 기술적인 보안 조치 이외에 직원의 보안 교육 등의 관리적 보안이 절실히 요구된다.


공공 기관 망분리 사업은 그동안 논리적 분리 배제 논란, 업무 및 비용의 비효율성, 보안USB의 보안 이슈 등 많은 논란이 있어왔다.

하지만 궁극적인 목적인 국가 기밀 자료가 유출되는 보안 사고를 막고자 수백억 원의 예산을 투입하여 사업을 추진하고 있고 소기의 성과를 거두고 있는 만큼, 이와 같은 보안 강화 사업을 통해 해마다 늘어나고 있는 공공기관에 대한 해킹 사고를 줄이고 정부와 공공기관의 보안 및 관리 수준을 한 단계 높이는 큰 걸음을 내딛게 되길 기대해 본다.

<글 : 조평현 시큐아이닷컴 컨설팅팀 차장(philip.cho@samsung.com)>


[월간 정보보호21c 통권 제105호 (info@boannews.com)]

'컴맹의 컴퓨터 이야기 > 동향' 카테고리의 다른 글

[펌] 웹방화벽의 숙명적인 진화, 지능화된 보안 제품 요구  (0) 2009.06.17
[웹] 웹 2.0 보안: 소셜 웹 사용시 주의 사항  (0) 2009.06.11
[펌] 논리적/물리적 보안 융합 : 하나의 보안 시스템으로  (0) 2009.06.09
[펌] 아이템베이 DDoS 공격 범인 검거됐다  (0) 2009.06.01
[펌] 국정원, 보안제품 도입기준에 대한 강한 의지 표명  (0) 2009.05.29
컴맹의 컴퓨터 이야기/IPv6

[IPv6] ICMPv6

2009. 6. 10. 18:28 | Posted by 꿈꾸는코난
ICMPv6

Like IPv4, the specification for the Internet Protocol version 6 (IPv6) header and extension headers does not provide facilities for reporting errors. Instead, IPv6 uses an updated version of the Internet Control Message Protocol (ICMP) named ICMP version 6 (ICMPv6). ICMPv6 has the common IPv4 ICMP functions of reporting delivery and forwarding errors and providing a simple echo service for troubleshooting. ICMPv6 is defined in RFC 4443 and is required for an IPv6 implementation.

The ICMPv6 protocol also provides a packet structure framework for the following:

■ Neighbor Discovery     Neighbor Discovery (ND) is a series of five ICMPv6 messages that manage node-to-node communication on a link. ND replaces Address Resolution Protocol (ARP), ICMPv4 Router Discovery, and the ICMPv4 Redirect message. ND is described in more detail in Chapter 6, “Neighbor Discovery.”
■ Multicast Listener     Discovery Multicast Listener Discovery (MLD) is a series of three ICMPv6 messages that are equivalent to the Internet Group Management Protocol (IGMP) for IPv4 for managing subnet multicast membership.


  * ICMPv6 Header Structure

   


Type     Indicates the type of ICMPv6 message. The size of this field is 8 bits. In ICMPv6 error messages, the high-order bit is set to 0. In ICMPv6 informational messages, the high-order bit is set to 1.

Code     Differentiates among multiple messages within a given message type. The size of this field is 8 bits. For the first, or only, message for a given type, the value of the Code field is 0.

Checksum     Stores a checksum of the ICMPv6 message. The size of this field is 16 bits. The IPv6 pseudo-header is added to the front of the ICMPv6 message when calculating the checksum.

Message body     Contains ICMPv6 message-specific data.

  * ICMPv4와 ICMPv6 메시지의 비교

'컴맹의 컴퓨터 이야기 > IPv6' 카테고리의 다른 글

[IPv6] Neighbor Discovery  (0) 2009.06.10
[IPv6] IPv6 Header  (0) 2009.06.10
[IPv6] IPv6 Addressing  (0) 2009.06.09
[IPv6] Comparison of IPv4 and IPv6  (0) 2009.06.09
[IPv6] IPv6 시대가 도래할 것인가?  (0) 2009.05.28

티스토리툴바